AI 公司的 GDPR 認證：含義與如何證明合規

內容概覽

區分 GDPR 法律合規與第 42 條自願認證機制，並為 AI 處理活動建立證據路徑。

它是什麼

GDPR 是以問責為核心的歐盟資料保護法律；第 42、43 條另允許依核准準則由獲認可機構或資料保護機關簽發自願認證與印章。

為什麼重要

AI 可能處理大量、再利用、推斷、敏感或擷取個資。合規本身屬法律要求；合適認證可為特定處理提供獨立評估信號。

如何取得或證明合規

1. 映射地域範圍、角色、資料流、目的、資料主體、供應商及轉移。
2. 先實施法律依據、通知、權利、合約、資安、紀錄、保存、DPIA、DPO 及事件程序。
3. 在 EDPB 登記冊及相關國家機關尋找匹配制度。
4. 確認準則、地域、排除、有效期、費用、評估者及認可。
5. 提交證據、接受評估、整改並取得特定處理證書。
6. 持續監察、到期續證、報告重大變更並限範圍使用印章。

審查清單

1. 不要聲稱自我評估、私隱政策、監管登記或一般安全證書令整家公司「GDPR 認證」。
2. 確定訓練、微調、提示、輸出、監察、支援及模型改進的控制者、共同控制者及處理者角色。
3. 記錄法律依據、目的、最少化、來源、透明度、權利、保存、資安、供應商、轉移、事件及 DPIA。
4. 只選擇準則、地域、申請者及處理範圍匹配的核准認證機制。
5. 透過相關獲認可認證機構或資料保護機關申請並保存整改證據。
6. 準確聲明獲證處理活動、制度、簽發者、地域、有效期及限制。

下一步

GDPR 認證屬自願性，通常針對特定處理活動，不是機構或 AI 模型的全面免責徽章。應查閱 EDPB 最新登記冊。

官方來源與延伸閱讀

• How can I demonstrate that my organisation is compliant with the GDPR? — European Commission
• Certification mechanisms and data protection seals and marks — European Data Protection Board
• Opinion 28/2024 on personal data in the context of AI models — European Data Protection Board